PT-2026-139442
CVE-2026-121976
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Modula الإصدارات السابقة لـ 3.0.18
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عبر المعلمة
items. ينبع هذا الخلل من عدم كفاية تنقية المدخلات لحقل link الخاص بكل صورة في معالج REST save merged items() ودالة ImagesAdapter::normalize item row()، والتي تحتفظ بالمفاتيح غير المعروفة كما هي. بالإضافة إلى ذلك، تقوم دالة Modula Helper::generate attributes() بتطبيق esc attr() فقط على href الرابط الناتج ولا تقوم بإزالة مخطط URL javascript:. يتيح ذلك للمهاجمين المصرح لهم، والذين يمتلكون صلاحيات مستوى مؤلف (Author) أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات التي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المحقونة وينقر على بلاطة المعرض.التوصيات
التحديث إلى الإصدار 3.0.18 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد وصول مستوى المؤلف إلى إعدادات المعرض لمنع حقن روابط خبيثة في المعلمة
items. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾